OAuth

간편 로그인

요즘은 어떠한 서비스(웹,앱)에 가입하지 않더라도 다른 서비스회사(구글,카카오,네이버..)의 정보를 이용해 간단하게 로그인 할 수 있는 기능을 제공해 주곤 한다.
이번 토이 프로젝트 진행시에 카카오 로그인을 구현하다가 삽질을 많이 했는데, 그 원리를 알지 못하니 많은 어려움이 있었다.
이게 어떻게 가능한지 각 서비스별로 구체적인 방법은 다 다르지만 대부분 비슷하기 때문에 이번 포스팅에서는
생활코딩님의 예제 + 카카오 디벨로퍼 사이트를 참고해서 진행해 본다.

OAuth

OAuth는 간편 로그인 서비스의 핵심이다.

OAuth("Open Authorization")는 인터넷 사용자들이 비밀번호를 제공하지 않고 다른 웹사이트 상의 자신들의 정보에 대해 웹사이트나 애플리케이션의 접근 권한을 부여할 수 있는 공통적인 수단으로서 사용되는, 접근 위임을 위한 개방형 표준이다.[1] 이 매커니즘은 여러 기업들에 의해 사용되는데, 이를테면 아마존,[2] 구글, 페이스북, 마이크로소프트, 트위터가 있으며 사용자들이 타사 애플리케이션이나 웹사이트의 계정에 관한 정보를 공유할 수 있게 허용한다. - 위키백과

OAuth가 생기기 전에는 유저로 부터 아이디와 비밀번호를 입력하게 한다음 그 것을 날 것 그대로 사용을 했다.
하지만, 이는 심각한 보안상의 위험을 내포할 수 있다.
예를들어, 유저로 부터 각종 사이트(구글, 네이버..)의 아이디와 비밀번호를 입력받고 저장을 해두었는데 해커들에게 해킹을 당한다면 한번의 해킹으로 입력해두었던 모든 개인정보가 빼돌려 진다.
또, 정작 서비스에 필요한것이 아닌 권한까지 다 가지고 올 수 있다.
현재 서비스는 일정관리 앱이라고 해보자.
서비스가 필요한 권한은 그저 구글 캘린더에 접근해서 일정을 가지고 오고 싶은데, 아이디 비밀번호를 통해 접속을 하게된다면 불필요한 권한까지 모두 쥐어주게 되어 보안상에 위험을 야기한다.

이러한 문제들을 해결하기 위해 OAuth가 생겼다.

PART 0. 용어

OAuth의 매커니즘을 이해하기전에 용어를 먼저 숙지해보자.

OAuth에는 크게 네가지의 주체가 있다.

Resource Owner

서비스의 사용자이며 Resource Server안 자원의 주인이다.

Client

Resource Server로 부터 정보를 가지고 오고 싶은 서비스 (우리가 만든 서비스)

Resource Server

Google, Facebook과 같이 User가 이미 가입한 서비스이며 필요한 자원을 가지고 있는 서버라고 해서 Resource Server 칭함.

Authorization Server

인증과 관련된 작업을 하는 Server

명확히 구분하자면 Resource Server와 Authorizaition Server를 구분하지만 이번 포스팅에서는 편의를 위해 합쳐서 Resource Server로 칭한다.

PART 1. 등록

Client는 Resource Server를 사용하기 위해서 승인을 받아야하는데 이를 등록 이라고한다.

카카오디벨로퍼 -> 내 어플리케이션 -> 어플리케이션을 추가한다.

Client ID, Client Secret

등록을 하고 나면 Client ID와 Client Secret라는 비밀번호를 발급받게 되는데,
이때, Client Secret은 절대. 외부에 노출되서는 안된다.

Client ID	Client Secret

Authorized redirect URI

카카오에서 필수는 아니지만 왼쪽 창에서 카카오 로그인을 클릭하면 Authorized redirect URI를 등록할 수 있다.
Resource Server가 권한을 부여하는 과정에서 authorization Code값을 전달해 주는 데 그 Code를 어떤 URL로 받을지 적는 것이다.
그리고 여기에 등록되어 있지 않은 URI는 모두 무시가 된다.